CVE-2020-25649
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 97 - wyżej niż 97% wszystkich znanych CVE
Streszczenie
W FasterXML Jackson Databind stwierdzono usterkę, w której ekspansja encji nie była odpowiednio zabezpieczona. Usterka ta umożliwia podatność na ataki XML External Entity (XXE). Największe zagrożenie z tej podatności dotyczy integralności danych.
Ocena ryzyka
Atakujący może wykorzystać XXE do odczytu plików lub wykonania żądań po stronie serwera, co może naruszyć integralność danych.
Rekomendacja
Zaktualizuj FasterXML Jackson Databind do wersji, która zawiera poprawkę zabezpieczającą ekspansję encji.
Inne podatności w FasterXML Jackson Databind
Zobacz wszystkie- CVE-2020-36182Wysokie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.tomcat.dbcp.dbcp2.cpdsadapter.DriverAdapterCPDS.
- CVE-2020-36180Wysokie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.commons.dbcp2.cpdsadapter.DriverAdapterCPDS.
- CVE-2020-36179Wysokie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z oadd.org.apache.commons.dbcp.cpdsadapter.DriverAdapterCPDS.
- CVE-2020-36189Wysokie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z com.newrelic.agent.deps.ch.qos.logback.core.db.DriverManagerConnectionSource.
- CVE-2020-36188Wysokie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z com.newrelic.agent.deps.ch.qos.logback.core.db.JNDIConnectionSource.
- CVE-2020-36187Wysokie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.tomcat.dbcp.dbcp.datasources.SharedPoolDataSource.
- CVE-2020-36186Wysokie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.tomcat.dbcp.dbcp.datasources.PerUserPoolDataSource.
- CVE-2020-36185Wysokie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.tomcat.dbcp.dbcp2.datasources.SharedPoolDataSource.
- CVE-2020-36184Wysokie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.tomcat.dbcp.dbcp2.datasources.PerUserPoolDataSource.
- CVE-2020-36181Wysokie
FasterXML jackson-databind w wersjach 2.x przed 2.9.10.8 nieprawidłowo obsługuje interakcję między gadżetami serializacji a typowaniem, co jest związane z org.apache.tomcat.dbcp.dbcp.cpdsadapter.DriverAdapterCPDS.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in FasterXML Jackson Databind, where it did not have entity expansion secured properly. This flaw allows vulnerability to XML external entity (XXE) attacks. The highest threat from this vulnerability is data integrity.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS